Atelier 3 EBIOS RM : écosystème et scénarios stratégiques

L'écosystème regroupe toutes les parties prenantes qui gravitent autour de l'objet étudié et contribuent à ses missions. De nombreux modes opératoires exploitent ces relations : rendre un service indisponible en attaquant son fournisseur cloud, piéger la chaîne d'approvisionnement pour exfiltrer des données. L'atelier 3 cherche à rendre cet écosystème lisible pour la direction, puis à bâtir les scénarios stratégiques qui serviront de base à l'atelier 4.

• les métiers, selon la finalité de l'étude ;
• les personnes qui connaissent les engagements contractuels avec les tiers, en général les achats ou le service juridique ;
• les architectes fonctionnels ;
• le RSSI ;
• si besoin, un spécialiste en cybersécurité.

L'atelier s'appuie sur les missions, valeurs métier et événements redoutés de l'atelier 1, sur les couples SR/OV retenus en atelier 2 et sur la vue écosystème de la cartographie du système d'information. Mieux vaut partir d'une cartographie existante et la compléter.

Une partie prenante est un acteur en interaction avec l'objet de l'étude : son système d'information y est interconnecté, ou il réalise des prestations dessus. Elle peut être externe (client, partenaire, prestataire, fournisseur) ou interne (DSI fournissant des services support, entité métier utilisatrice, filiale). La différence avec un bien support : l'organisation ne maîtrise pas directement sa sécurité et ne peut pas lui imposer ses mesures, sinon par contrat.

Le niveau de dangerosité d'une partie prenante ne préjuge pas de sa malveillance. Il mesure la capacité d'un attaquant à exploiter la relation privilégiée entre cette partie prenante et vous. Une source de risque bien renseignée attaquera, par moindre effort, le maillon qui paraît le plus faible.

Les quatre critères d'évaluation

La fiche méthode de l'ANSSI propose de coter chaque critère, par exemple de 1 à 4, puis de calculer : dangerosité = (dépendance × pénétration) / (maturité cyber × confiance). Cette formule est un point de départ : on peut pondérer un critère jugé prépondérant, ou retirer la confiance si la partie prenante ne serait qu'un intermédiaire involontaire. L'important est de justifier chaque cote par des critères objectifs, pour que l'évaluation soit relisible.

Zones de danger, de contrôle et de veille

Les résultats se représentent sur un radar : plus une partie prenante est dangereuse, plus elle est proche du centre. Des seuils, fixés par l'équipe, découpent le radar en zones :

• zone de danger : dangerosité très élevée, difficilement acceptable ; aucune partie prenante ne devrait y rester ;
• zone de contrôle : tolérable sous contrôle, avec une vigilance particulière et un objectif de réduction à moyen terme ;
• zone de veille : acceptable en l'état, à suivre sans l'intégrer aux scénarios.

Les parties prenantes situées en zones de danger et de contrôle sont les parties prenantes critiques (PPC). L'équipe peut toutefois décider d'en écarter une pour des raisons de contexte : la cartographie est une aide à la décision, la décision revient à la gouvernance du projet.

Les scénarios stratégiques décrivent, à haut niveau, comment un attaquant pourrait atteindre son objectif : en exploitant l'écosystème, en détournant un processus métier, ou en attaquant directement. On part de chaque couple SR/OV retenu et on se pose deux questions, du point de vue de l'attaquant :

• quelles valeurs métier dois-je viser pour atteindre mon objectif ?
• ai-je intérêt à passer par une partie prenante critique qui dispose d'un accès privilégié à ces valeurs métier ?

Le scénario décrit alors l'enchaînement des événements générés par la source de risque. Les atteintes aux valeurs métier sont des événements redoutés ; les atteintes à l'écosystème sont des événements intermédiaires (création d'un canal d'exfiltration chez un prestataire, déni de service contre le fournisseur cloud, usurpation de l'identité d'un support). Chaque suite d'événements forme un chemin d'attaque.

• 1 à 3 chemins d'attaque par couple SR/OV suffisent généralement : attaque directe, attaque par rebond via une partie prenante, attaque d'une partie prenante seule.
• Variez les scénarios pour solliciter différentes parties prenantes critiques et différentes valeurs métier.
• Restez à haut niveau : les détails techniques relèvent de l'atelier 4.
• La gravité du scénario est celle de l'événement redouté associé à l'objectif visé ; les événements redoutés de l'atelier 1 peuvent être complétés à cette occasion.

Les scénarios se représentent en graphes d'attaque ou directement sur la vue écosystème de la cartographie du système d'information. Si l'atelier 4 n'est pas mené (étude préliminaire), la pertinence du couple SR/OV sert d'indicateur de vraisemblance.

Les travaux précédents font souvent apparaître des fragilités structurelles chez les parties prenantes. La dernière étape cherche des moyens de réduire la dangerosité des parties prenantes critiques : réduire la dépendance à un sous-traitant, limiter les accès d'un prestataire, exiger un audit dans le contrat, améliorer la maturité d'un partenaire. Ces mesures peuvent aussi casser un chemin d'attaque.

Elles touchent souvent la gouvernance et les contrats, donc demandent des arbitrages de la direction. On évalue ensuite la dangerosité résiduelle de chaque partie prenante, en indiquant le délai de mise en œuvre.